Odebrany

CVE-2026-90301

opublikowano: 17.09.2026, 19:17

modyfikacja: 17.09.2026, 19:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ocfs2: o2hb: wycisz procedury obsługi negocjacji i przekrocz limit czasu

Regiony Heartbeat publikują strukturę o2hb_region jako prywatne dane dla pliku
Funkcje obsługi NEGO_TIMEOUT i NEGO_APPROVE o2net, gdy tylko make_item()
tworzy region configfs. Osoba obsługująca zatwierdzanie może zadzwonić
o2hb_arm_timeout(), więc partner może dotknąć wcześniej ustawionego limitu czasu regionu
dev_store() zakończyła budowanie środowiska wykonawczego pulsu lub została porzucona
zaczął ponownie zamykać to środowisko wykonawcze.

Ostateczne wprowadzone konfiguracje muszą również utrzymać reg przy życiu aż do ostatniego lotu
Wywołanie zwrotne o2net usuwa odwołanie do procedury obsługi.
o2net_unregister_handler_list() blokuje przyszłe wyszukiwania procedur obsługi, ale tak jest
nie czekaj na sc_rx_work, który już przeszedł o2net_handler_get(). To
drenaż musi obejmować również rozbicie lokalnego słuchacza, gdzie o2net
zamówiona kolejka robocza może już znajdować się w funkcjizniszcz_workqueue().

Napraw regułę życia w obu kierunkach. Zainicjuj opóźniony region
działa przed opublikowaniem rejestru w tabeli obsługi o2net, zachowaj nowy lub
zatrzymywanie regionów nieuzbrojonych za pomocą hr_stopping i wyciszanie obu z opóźnieniem
działa na ścieżkach nieudanego uruchomienia i porzucenia, nawet jeśli nie ma wątku pulsu
pozostało, aby wywołać funkcję o2hb_disarm_timeout(). Następnie wyrejestruj wcześniej programy obsługi
zburzenie stanu regionu widocznego dla modułu obsługi i sprawienie, aby drenaż czekał na
aktywowanie lub niszczenie uporządkowanej kolejki roboczej o2net przed wydaniem zwalnia rej.

Scenariusz z błędami obejmuje dwie ścieżki, przy czym każda kolumna pokazuje kolejność
w obrębie tej ścieżki:

cykl życia regionu: późno negocjuj oddzwonienie:
1. make_item() rejestruje 1. o2net_process_message() pobiera
procedury obsługi regionu przed obsługą pulsu dla rej.
dev_store() zbudowała 2. Wywołanie zwrotne jest uruchamiane po wyszukaniu
możliwy do uruchomienia kontekst pulsu. blokada została usunięta i wyłuskano rej.
2. Nieudane uruchomienie lub rmdir 3. Próba zatwierdzenia lub przekroczenia limitu czasu ścieżki
zatrzymuje wątek pulsu, opóźnioną pracę rejestracji kolejki lub zwalnia
wycisza istniejącą pracę i uruchamia treść wywołania zwrotnego za procedurą obsługi
upuszcza końcową konfigurację referencyjną. wyrejestruj się.
3. region_release() musi zostać wyczerpany. 4. Wywołanie zwrotne lub opóźniona praca mogą
handler-visible o2net rx działa dłużej niż rejestr, chyba że kod cyklu życia
przed zwolnieniem rej. sprawia, że region nie jest uzbrojony i
drenuje to, co aktywne lub niszczące
kolejka robocza o2net.

W ramach walidacji odtworzono ten raport jądra:
Płyta KASAN-używana-po-bezpłatna w __run_timers+0x22c/0x5b0
Napisz rozmiar 8
Śledzenie połączeń:
dump_stack_lvl+0x66/0xa0
print_report+0xce/0x630
__run_timers+0x22c/0x5b0
kasan_report+0xe0/0x110
_raw_spin_unlock_irqrestore+0x27/0x60
try_to_wake_up+0x191/0xf70
timer_expire_remote+0xae/0xf0
run_timer_softirq+0x19b/0x1a0
handle_softirqs+0x156/0x660
__irq_exit_rcu+0xc4/0x160
irq_exit_rcu+0xe/0x20
sysvec_apic_timer_interrupt+0x6c/0x80
asm_sysvec_apic_timer_interrupt+0x1a/0x20

Przydzielane według stosu zadań:
kasan_save_stack+0x33/0x60
kasan_save_track+0x14/0x30
__kasan_kmalloc+0xaa/0xb0
o2hb_heartbeat_group_make_item+0x3c/0x600

In the Linux kernel, the following vulnerability has been resolved:

ocfs2: o2hb: quiesce negotiate handlers and timeout work

Heartbeat regions publish struct o2hb_region as the private data for the
NEGO_TIMEOUT and NEGO_APPROVE o2net handlers as soon as make_item()
creates the configfs region. The approve handler can call
o2hb_arm_timeout(), so a peer can touch the region timeout work before
dev_store() has finished building the heartbeat runtime, or after teardown
has started to shut that runtime back down.

The final configfs put also has to keep reg alive until the last in-flight
o2net callback drops its handler reference.
o2net_unregister_handler_list() blocks future handler lookups, but it does
not wait for sc_rx_work that already passed o2net_handler_get(). That
drain needs to cover local listener teardown as well, where the o2net
ordered workqueue may already be inside destroy_workqueue().

Fix the lifetime rule in both directions. Initialize the region delayed
works before publishing reg through the o2net handler table, keep new or
stopping regions non-armable with hr_stopping, and quiesce both delayed
works on failed-start and teardown paths even when no heartbeat thread is
left to call o2hb_disarm_timeout(). Then unregister handlers before
tearing down handler-visible region state and make the drain wait for the
active or destroying o2net ordered workqueue before release frees reg.

The buggy scenario involves two paths, with each column showing the order
within that path:

region lifecycle: late negotiate callback:
1. make_item() registers the 1. o2net_process_message() gets a
region handlers before heartbeat handler for reg.
dev_store() has built a 2. The callback runs after the lookup
runnable heartbeat context. lock is dropped and dereferences reg.
2. A failed start or rmdir 3. An approve or timeout path tries to
stops the heartbeat thread, queue reg's delayed work, or release
quiesces existing work, and races the callback body after handler
drops the final configfs ref. unregister.
3. region_release() must drain 4. The callback or delayed work can
handler-visible o2net rx work outlive reg unless lifecycle code
before freeing reg. keeps the region non-armable and
drains the active-or-destroying
o2net workqueue.

Validation reproduced this kernel report:
KASAN slab-use-after-free in __run_timers+0x22c/0x5b0
Write of size 8
Call trace:
dump_stack_lvl+0x66/0xa0
print_report+0xce/0x630
__run_timers+0x22c/0x5b0
kasan_report+0xe0/0x110
_raw_spin_unlock_irqrestore+0x27/0x60
try_to_wake_up+0x191/0xf70
timer_expire_remote+0xae/0xf0
run_timer_softirq+0x19b/0x1a0
handle_softirqs+0x156/0x660
__irq_exit_rcu+0xc4/0x160
irq_exit_rcu+0xe/0x20
sysvec_apic_timer_interrupt+0x6c/0x80
asm_sysvec_apic_timer_interrupt+0x1a/0x20

Allocated by task stack:
kasan_save_stack+0x33/0x60
kasan_save_track+0x14/0x30
__kasan_kmalloc+0xaa/0xb0
o2hb_heartbeat_group_make_item+0x3c/0x600

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve